(57)【要約】【課題】組織で採用している情報セキュリティ対策の実施状況を、既存の評価基準と照らし合せて詳細に評価することができる仕組みを実現する。【解決手段】確認リスト管理部１６が、セキュリティ対策の実施状況を確認するために組織で採用されている確認項目と、ＪＩＳ  Ｑ  ２７００２等のセキュリティ対策の実施状況を評価するための既存の評価基準とを関連付け、実施状況入力部１４が、ユーザに対していずれかの確認項目を提示して、ユーザから確認結果を取得し、確認結果を確認項目に関連付けることで、確認項目と確認結果と評価基準とを関連付けることできる。【選択図】図１
2010165099.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ対策の実施状況を調査するための調査項目が示される調査項目情報を、セキュリティ対策の実施状況を評価するための評価基準が示されるセキュリティ管理基準情報に関連付ける情報関連付け部と、
調査項目情報とセキュリティ管理情報を記憶する情報記憶部と、
調査項目情報に示されている調査項目に対する調査結果を取得し、取得した調査結果を調査項目情報に関連付けて、調査項目情報の調査項目と調査結果とセキュリティ管理基準情報の評価基準とを関連付ける調査結果取得部とを有することを特徴とするセキュリティ管理装置。
【請求項２】
前記情報記憶部は、
複数のセキュリティ管理基準情報を記憶しており、
前記情報関連付け部は、
調査項目情報を、前記複数のセキュリティ管理基準情報のうちの特定のセキュリティ管理基準情報に関連付けることを特徴とする請求項１に記載のセキュリティ管理装置。
【請求項３】
前記セキュリティ管理装置は、更に、
複数の調査項目情報の各々に対して、対象となるユーザ属性を設定する属性設定部と、
アクセスがあった際に、登録されているユーザからのアクセスであるか否かを認証するとともに、登録されているユーザからのアクセスである場合に、アクセスのあったユーザのユーザ属性を判別する認証部とを有し、
前記情報記憶部は、
前記属性設定部によりユーザ属性が設定された複数の調査項目情報を記憶しており、
前記調査結果取得部は、
前記認証部により判別されたユーザ属性に一致するユーザ属性が設定されている調査項目情報を前記情報記憶部から抽出し、抽出した調査項目情報を、アクセスのあったユーザに提示し、提示した調査項目情報に示されている調査項目に対する調査結果を取得することを特徴とする請求項１又は２に記載のセキュリティ管理装置。
【請求項４】
前記セキュリティ管理装置は、更に、
メッセージを出力するメッセージ出力部と、
前記メッセージ出力部により出力されたメッセージへの応答を入力する応答入力部とを有し、
前記情報関連付け部は、
調査項目情報の関連付けの対象となるセキュリティ管理基準情報を、前記複数のセキュリティ管理基準情報の中から選択するための質問メッセージを生成し、生成した質問メッセージを前記メッセージ出力部を介して出力し、前記質問メッセージに対する応答を前記応答入力部を介して入力し、前記質問メッセージと前記応答とに基づき、調査項目情報の関連付けの対象となるセキュリティ管理基準情報を選択することを特徴とする請求項２に記載のセキュリティ管理装置。
【請求項５】
前記セキュリティ管理装置は、
評価基準が文章で示される複数のセキュリティ管理基準情報と、調査項目が文章で示される調査項目情報を対象としており、
前記情報関連付け部は、
セキュリティ管理基準情報ごとに評価基準に含まれているキーワードを解析し、調査項目情報の調査項目に含まれているキーワードを解析し、評価基準に対するキーワード解析結果及び調査項目に対するキーワード解析結果に基づき、調査項目情報の関連付けの対象となるセキュリティ管理基準情報を選択することを特徴とする請求項２に記載のセキュリティ管理装置。
【請求項６】
前記セキュリティ管理装置は、
調査項目が文章で示される調査項目情報を対象としており、
前記セキュリティ管理装置は、更に、
調査項目情報の調査項目の文章を構文解析し、構文解析の結果に基づき、当該調査項目を詳細化する新たな調査項目の生成が必要であるか否かを判断する調査項目判断部と、
前記調査項目判断部により新たな調査項目の生成が必要であると判断された場合に、新たな調査項目の生成が必要であることを通知する通知メッセージを出力するメッセージ出力部とを有することを特徴とする請求項１〜５のいずれかに記載のセキュリティ管理装置。
【請求項７】
前記調査項目判断部は、
調査項目情報の調査項目の文章に対する構文解析の結果、当該調査項目の文章に主語が示されていない場合及び当該調査項目の文章に数値化された基準が示されていない場合の少なくともいずれかにおいて、新たな調査項目の生成が必要であると判断することを特徴とする請求項６に記載のセキュリティ管理装置。
【請求項８】
前記セキュリティ管理装置は、更に、
前記メッセージ出力部により出力されたメッセージへの応答を入力する応答入力部と、
前記応答入力部により入力された応答に基づいて、新たな調査項目が示される新たな調査項目情報を生成する調査項目情報生成部とを有し、
前記情報関連付け部は、
前記調査項目情報生成部により新たな調査項目情報が複数生成された場合に、複数の新たな調査項目情報を共通のセキュリティ管理基準情報に関連付けることを特徴とする請求項６又は７に記載のセキュリティ管理装置。
【請求項９】
前記セキュリティ管理装置は、更に、
複数の新たな調査項目情報の各々に対して、個別に、対象となるユーザ属性を設定する属性設定部と、
アクセスがあった際に、登録されているユーザからのアクセスであるか否かを認証するとともに、登録されているユーザからのアクセスである場合に、アクセスのあったユーザのユーザ属性を判別する認証部とを有し、
前記情報記憶部は、
前記属性設定部によりユーザ属性が設定された複数の新たな調査項目情報を記憶し、
前記調査結果取得部は、
前記認証部により判別されたユーザ属性に一致するユーザ属性が設定されている新たな調査項目情報を前記情報記憶部から抽出し、抽出した新たな調査項目情報を、アクセスのあったユーザに提示し、提示した新たな調査項目情報に示されている調査項目に対する調査結果を取得することを特徴とする請求項８に記載のセキュリティ管理装置。
【請求項１０】
前記セキュリティ管理装置は、
少なくとも１つのサブ組織が含まれる組織におけるセキュリティ対策の実施状況を管理しており、
前記情報記憶部は、
組織全体に関係する調査項目情報と、特定のサブ組織に関係する調査項目情報とを区別して記憶しており、
前記調査結果取得部は、
組織全体に関係する調査項目情報に対しては、組織全体からの調査結果を取得し、特定のサブ組織に関係する調査項目情報に対しては、特定のサブ組織からの調査結果を取得することを特徴とする請求項１〜９のいずれかに記載のセキュリティ管理装置。
【請求項１１】
前記セキュリティ管理装置は、
組織におけるセキュリティ対策の実施状況を管理しており、
前記情報関連付け部は、
前記組織において作成された調査項目情報を、前記組織の外において作成されたセキュリティ管理基準情報に関連付けることを特徴とする請求項１〜１０のいずれかに記載のセキュリティ管理装置。
【請求項１２】
コンピュータが、セキュリティ対策の実施状況を調査するための調査項目が示される調査項目情報を、セキュリティ対策の実施状況を評価するための評価基準が示されるセキュリティ管理基準情報に関連付ける情報関連付けステップと、
前記コンピュータが、調査項目情報とセキュリティ管理情報を記憶する情報記憶ステップと、
前記コンピュータが、調査項目情報に示されている調査項目に対する調査結果を取得し、取得した調査結果を調査項目情報に関連付けて、調査項目情報の調査項目と調査結果とセキュリティ管理基準情報の評価基準とを関連付ける調査結果取得ステップとを有することを特徴とするセキュリティ管理方法。
【請求項１３】
セキュリティ対策の実施状況を調査するための調査項目が示される調査項目情報を、セキュリティ対策の実施状況を評価するための評価基準が示されるセキュリティ管理基準情報に関連付ける情報関連付け処理と、
調査項目情報とセキュリティ管理情報を記憶する情報記憶処理と、
調査項目情報に示されている調査項目に対する調査結果を取得し、取得した調査結果を調査項目情報に関連付けて、調査項目情報の調査項目と調査結果とセキュリティ管理基準情報の評価基準とを関連付ける調査結果取得処理とをコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ対策の実施状況を管理する装置に関し、より具体的には、ある組織で実施している情報セキュリティ対策の実施状況を管理する装置に関する。
【背景技術】
【０００２】
企業等の組織内での、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ）に限らない情報セキュリティ施策全体の管理状況を測るものとして、ＩＰＡ（独立行政法人  情報処理推進機構）が提供する情報セキュリティ対策ベンチマークがある（参考ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｂｅｎｃｈｍａｒｋ／ｂｅｎｃｈｍａｒｋ−ｇａｉｙｏｕ．ｈｔｍｌ）。
【０００３】
これは、組織が実施している情報セキュリティ施策について、２５問の質問に対して回答することで、情報セキュリティ施策実施状況の概要をつかむことを第一の目的としている。
また、この情報セキュリティ対策ベンチマークでは、１５項目の企業プロフィールに関する回答から、その組織に望まれる情報セキュリティのレベルを評価したり、同業他社やグループ内企業等の他組織と比較したりすることによって、組織外から見た当該組織の情報セキュリティ管理情況の評価を行うことが第二の目的であり、大きな特徴となっている。
【０００４】
また、例えば、組織内の情報セキュリティポリシーに従ったシステム設定を、クライアントまで確実に行わせることを目的とした装置も提案されている（特許文献１）。
これは、組織内のＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に接続される様々なＩＴ機器に対して、組織の情報セキュリティポリシーから導き出された、最適でかつ具体的なシステム設定を行うための仕組みである。
本システムでは、事前に、社内システムに接続されるＩＴ機器に対して設定されるべき設定情報のバリエーションを用意しておき、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）を代表とする各ＩＴ機器の特定情報やインストールされているＳ／Ｗ（Ｓｏｆｔ  Ｗａｒｅ）の情報等を取得し、そのＰＣに適切なシステム設定を事前に登録された中から選択して設定させるというものである。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−１８４９３６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上で述べたように、上記の情報セキュリティ対策ベンチマークでは、組織の情報セキュリティ管理の概況が、他組織と比較してどうかということをＶｉｓｉｂｌｅにすることが目的であるため、組織内での情報セキュリティ管理施策の詳細を管理することは困難であるという課題がある。
すなわち、組織では往々にして、組織を構成するサブ組織の業務の特性やサブ組織のオフィスの立地上の制限により、一部セキュリティ施策を変更・強化したりするケースがあるが、そのようなケースは「概況」には現れないという点がある。
【０００７】
一方、特許文献１に説明されるシステムでは、その範囲を社内ネットワークの設定を含むＩＴがターゲットである。
情報セキュリティでは、インシデント発生時に代表される緊急時の対応がいかに組織内の全構成員に徹底されているか、組織構成員がある業務の遂行において適切に情報を扱っているか等のＩＴ以外の側面も多く、それらは互いに補完しあっているといえる。
そのため、本システムでは、ＩＴに限らない全体的な情報セキュリティ施策状況を把握することができないという課題がある。
【０００８】
この発明は、上記のような課題を解決することを主な目的の一つとしており、組織で採用している広範な情報セキュリティ対策の実施状況を、既存の評価基準と照らし合せて詳細に評価することができる仕組みを実現することを主な目的とする。
【課題を解決するための手段】
【０００９】
本発明に係るセキュリティ管理装置は、
セキュリティ対策の実施状況を調査するための調査項目が示される調査項目情報を、セキュリティ対策の実施状況を評価するための評価基準が示されるセキュリティ管理基準情報に関連付ける情報関連付け部と、
調査項目情報とセキュリティ管理情報を記憶する情報記憶部と、
調査項目情報に示されている調査項目に対する調査結果を取得し、取得した調査結果を調査項目情報に関連付けて、調査項目情報の調査項目と調査結果とセキュリティ管理基準情報の評価基準とを関連付ける調査結果取得部とを有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、セキュリティ対策の実施状況を調査するための調査項目と、調査項目に対する調査結果と、セキュリティ対策の実施状況を評価するための評価基準とを関連付けることできるので、セキュリティ対策の実施状況を、評価基準と照らし合せて詳細に評価することができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係る情報セキュリティ管理装置の構成例を示す図。
【図２】実施の形態２に係る情報セキュリティ管理装置の構成例を示す図。
【図３】実施の形態３に係る情報セキュリティ管理装置の構成例を示す図。
【図４】実施の形態４に係る情報セキュリティ管理装置の構成例を示す図。
【図５】実施の形態５に係る情報セキュリティ管理装置の構成例を示す図。
【図６】実施の形態５に係る情報セキュリティ管理装置の構成例を示す図。
【図７】実施の形態１に係る処理制御のための表の例を示す図。
【図８】実施の形態１に係る利用者属性情報の例を示す図。
【図９】実施の形態１に係る確認項目情報の例を示す図。
【図１０】実施の形態１に係る確認項目情報の例を示す図。
【図１１】実施の形態１に係るリスト間関係情報の例を示す図。
【図１２】実施の形態１に係る確認項目評価結果情報の例を示す図。
【図１３】実施の形態１に係る確認項目評価結果情報の例を示す図。
【図１４】実施の形態１に係る確認項目−結果関係情報の例を示す図。
【図１５】実施の形態１に係る分析情報の例を示す図。
【図１６】実施の形態２に係るガイド項目情報の例を示す図。
【図１７】実施の形態２に係るガイド項目情報の例を示す図。
【図１８】実施の形態３に係るキーワード抽出及びキーワード照合動作を説明する図。
【図１９】実施の形態４に係る確認項目を細分化する動作を説明する図。
【図２０】実施の形態５に係る組織の情報セキュリティ施策群とサブ組織での情報セキュリティ施策群の関係を示す図。
【図２１】実施の形態１に係る動作フロー例を示すフローチャート図。
【図２２】実施の形態１に係る環境設定フェーズの詳細を示すフローチャート図。
【図２３】実施の形態１に係る確認項目情報の生成処理の詳細を示すフローチャート図。
【図２４】実施の形態１に係る実施状況確認フェーズの詳細を示すフローチャート図。
【図２５】実施の形態２に係る確認項目情報の生成処理の詳細を示すフローチャート図。
【図２６】実施の形態３に係るキーワード抽出フェーズの詳細を示すフローチャート図。
【図２７】実施の形態３に係る確認項目情報の生成処理の詳細を示すフローチャート図。
【図２８】実施の形態４に係る確認項目情報の生成処理の詳細を示すフローチャート図。
【図２９】実施の形態１〜５に係る情報セキュリティ管理装置等のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
図１は、本実施の形態に係る情報セキュリティ管理装置１の構成例を示す。
図１において、情報セキュリティ管理装置１は、組織内で採用している情報セキュリティ対策の実施状況を確認することを目的とした装置である。
より具体的には、情報セキュリティ管理装置１は、組織内で採用している情報セキュリティ対策の実施状況を確認（調査）するための確認項目（調査項目）と、情報セキュリティ対策の実施状況に関する既存の評価基準とを関連付け、また、これにより確認項目に対する確認結果（調査結果）と確認項目と、既存の評価基準とを関連付けるものである。
既存の評価基準とは、例えば、ＪＩＳ  Ｑ  ２７００２等の既存の基準である。
なお、情報セキュリティ管理装置１は、セキュリティ管理装置の例である。
また、以下では、情報セキュリティ対策の実施状況を調査、評価する例を説明するが、本実施の形態に係る情報セキュリティ管理装置１は、不正アクセス対策や情報漏えい防止といった狭義の情報セキュリティに限らず、例えば、執務室への入室にはＩＣカードや生体情報による本人認証が行われているか、監視カメラが所定の位置に設置されているか等の広範なセキュリティ対策の実施状況の調査、評価に適用することができる。
【００１３】
情報セキュリティ管理装置１の利用者２は、オペレータとユーザに分類される。オペレータは管理者ともいう。また、ユーザは一般利用者ともいう。
オペレータは、組織内の情報システムを管理するシステム管理者である。オペレータは、情報セキュリティ管理装置１を用いて情報セキュリティ対策の実施状況の調査結果を収集し、調査結果から情報セキュリティ対策の実施状況の分析、実施状況の評価等を行う。
ユーザは、組織内の情報システムを利用するユーザである。ユーザは、情報セキュリティ対策の実施状況について情報セキュリティ管理装置１に対して回答を行う。
オペレータ及びユーザは、例えば各人に割り当てられている端末装置から、ＬＡＮ等のネットワークを介して情報セキュリティ管理装置１と通信するにしてもよいし、情報セキュリティ管理装置１に接続されているキーボード、マウス、ディスプレイ装置等（図示せず）を用いて、情報セキュリティ管理装置１へ入力を行い、情報セキュリティ管理装置１からの出力を得てもよい。
また、同一の利用者がオペレータとユーザの両方の役割を果たす場合がある。
オペレータ及びユーザをまとめて利用者２と称する。
【００１４】
次に、情報セキュリティ管理装置１の内部構成例について説明する。
【００１５】
入出力部１０は、情報セキュリティ管理装置１に接続されているキーボード、マウス、ディスプレイ装置、通信ボード等とのインタフェースとなり、キーボード、マウス、通信ボード等を介して、利用者２からの情報を入力し、また、ディスプレイ装置、通信ボード等を介して、利用者２に情報を出力する。
【００１６】
利用者属性管理部１１は、利用者の識別情報や、利用者の所属する組織の情報、利用者が情報セキュリティ上担う役割、利用者を認証するための認証情報等の利用者属性情報を管理する。
利用者属性情報の例を、図８に示す。
【００１７】
利用者認証部１２は、アクセスがあった際に、利用者属性管理部１１を通じて事前に登録された利用者属性情報と、利用者が実際に入力した情報によって、登録されている利用者からのアクセスであるか否かを認証するとともに、登録されている利用者からのアクセスである場合に、アクセスのあった利用者の属性を判別する。属性は、例えば、所属部署、資格、役職、職能等である。
利用者認証部１２は、認証部の例である。
【００１８】
実行処理制御部１３は、利用者の属性や、各情報セキュリティ対策の実施状況の確認状態等から、利用者が実行可能な処理を制御する。
また、実行処理制御部１３は、利用者の属性に従って実行できる処理を制御する。
制御のための利用者属性は、例えば、情報セキュリティ実施状況を把握すべき管理者（オペレータ）なのか、一般の利用者（ユーザ）なのかという役割や、所属する部門等を利用してもよい。また、制御のために図７のような表を利用してもよい。
図７では、それぞれの利用者に許可されている動作が「○」として示されている。
【００１９】
実施状況入力部１４は、個別の情報セキュリティ対策の実施状況を確認するための確認項目（調査項目）を入出力部１０を介してユーザに提示し、確認項目に対する回答として、確認項目評価結果（調査結果）が示される確認項目評価結果情報を入出力部１０を介してユーザから取得し、更には、確認項目評価結果情報の一部として、実施状況を示すエビデンス情報をユーザから取得する。
確認項目は、例えば、図９及び図１０に示す確認項目情報３００の情報セキュリティ施策関連情報３０１に示されている。図１０の符号３０１１で示す箇所が確認項目であり、ユーザは確認項目３０１１に示されている事項を確認する。
確認項目は、情報セキュリティ対策の実施状況を確認するために企業等の組織が独自に設けた項目である。
なお、確認項目情報３００の詳細は、後述する。
図１２及び図１３は、ユーザからの回答である確認項目評価結果情報の例を示す。
確認項目評価結果情報５００には、情報ＩＤ５０３、確認項目評価結果５０１、エビデンス情報５０２が含まれる。
確認項目評価結果５０１は、実施状況判断基準情報３０３に基づき、ユーザ自身が実施状況を評価した内容である。つまり、実施状況に対応するレベル（実施状況判断基準情報３０３に示されているレベルのいずれか）が示される。
エビデンス情報５０２は、実施状況を判断するにあたって、客観的にそれが確認できる情報である。
エビデンス情報５０２は必要に応じて記入すればよい。つまり、エビデンス情報５０２は省略可能である。また、他にも必要な情報があれば、付加情報として追加してもよい。
情報ＩＤ５０３は、実施状況入力部１４が確認項目評価結果情報５００を取得した際に、実施状況入力部１４により設定される。
【００２０】
また、実施状況入力部１４は、取得した確認項目評価結果と確認項目と情報セキュリティ対策の実施状況に関する既存の基準とを関連付ける。
情報セキュリティ対策の実施状況に関する既存の基準とは、前述したように、ＪＩＳ  Ｑ  ２７００２に代表される情報セキュリティ対策の実施状況に関する既存の評価基準である。
確認項目評価結果と確認項目と既存の基準との関連付けは、例えば、図１４に示す確認項目−結果関係情報６００を生成することにより行われる。
図１４において、確認項目情報ＩＤは、図９及び図１０に示す確認項目情報３００の情報ＩＤ３０４（ＡＡ００１２３）であり、確認項目評価結果情報ＩＤは、図１２及び図１３に示す確認項目評価結果情報５００の情報ＩＤ５０３（ＺＺ０１４５６）である。
図１０に示すように、確認項目情報３００には、確認項目と関係する既存基準を示す既存基準との関係情報３０２が含まれているので、図１４の確認項目−結果関係情報６００により確認項目評価結果と確認項目と既存の基準とを関連付けることができる。
実施状況入力部１４は、調査結果取得部の例である。
【００２１】
実施状況管理部１５は、個別の情報セキュリティ対策の実施状況を確認するための項目に対する、利用者の実施状況入力状況を管理する。
【００２２】
確認リスト管理部１６は、個別の情報セキュリティ対策の実施状況を確認するための確認項目の集合である確認項目情報の処理状況を管理する。
より具体的には、確認リスト管理部１６は、確認項目が示される情報セキュリティ施策関連情報３０１（調査項目情報）を、情報セキュリティ対策の実施状況に関する既存の評価基準が示される情報（ＪＩＳ  Ｑ  ２７００２等）（セキュリティ管理基準情報）に関連付けるとともに、情報セキュリティ施策関連情報３０１と既存基準との関連付けが示される確認項目情報を管理する。
つまり、確認リスト管理部１６は、図９及び図１０に示されるように、確認項目３０１１が示される情報セキュリティ施策関連情報３０１が含まれるとともに、確認項目と関係する既存基準を示す既存基準との関係情報３０２が含まれる確認項目情報３００を管理する。
更に、確認リスト管理部１６は、確認項目３０１１の対象となるユーザ属性３０１４を設定する。
確認リスト管理部１０６は、情報関連付け部及び属性設定部の例である。
【００２３】
リスト間関係管理部１７は、ＪＩＳ  Ｑ  ２７００２に代表される既存基準と、個別の情報セキュリティ対策の実施状況を確認するための確認項目との関係を管理する。
リスト間関係管理部１７は、例えば、図１１に示すリスト間関係情報４００を生成して、既存基準と確認項目との関係を管理する。
図１１のリスト間関係情報４００では、確認項目情報３００の情報ＩＤ３０４（図１０及び図１１の例では、ＡＡ００１２３）と既存基準のＩＤ（図１２では、ＪＩＳ  Ｑ  ２７００２  ７．２．２）を対応付けている。
【００２４】
また、情報セキュリティ管理装置１内で扱う情報は、次のＤＢ（Ｄａｔａ  Ｂａｓｅ）で管理される。
環境ＤＢ３１は、利用者の識別情報や、利用者の所属する組織の情報、利用者が情報セキュリティ上担う役割、利用者を認証するための認証情報等の利用者属性情報２００（図８）を格納する。
回答結果ＤＢ３２は、図１２及び図１３に示す確認項目評価結果情報５００、図１４に示す確認項目−結果関係情報６００を格納する。
確認リストＤＢ３３は、組織内で採用している情報セキュリティ施策に関する情報である確認項目情報３００（図９、図１０）を格納する。
ベースラインリストＤＢ３４は、既存の情報セキュリティ管理基準に関する情報（ＪＩＳ  Ｑ  ２７００２等）を格納する。
確認リストＤＢ３３及びベースラインリストＤＢ３４は、情報記憶部の例である。
リスト間関係ＤＢ３５は、既存の情報セキュリティ管理基準に関する情報と組織内で採用している情報セキュリティ施策との対応関係を示すリスト間関係情報４００を格納する。
【００２５】
次に、図２１を用いて、本実施の形態に係る情報セキュリティ管理装置１の動作について説明する。
情報セキュリティ管理装置１は、環境設定フェーズ（Ｓ１）、実施状況確認フェーズ（Ｓ２）、分析フェーズ（Ｓ３）の順に動作する。
【００２６】
まず、情報セキュリティ管理装置１の環境設定フェーズを説明する。
図２２は、環境設定フェーズにおける情報セキュリティ管理装置１の動作例を示すフローチャートである。
【００２７】
まず、ステップＳ１０１において、利用者属性管理部１１が、利用者の識別情報、利用者の所属する組織の情報、利用者が情報セキュリティ上担う役割、利用者を認証するための認証情報等を示す利用者属性情報２００（図８）を入出力部１０を介して入力し、環境ＤＢ３１に登録する。
【００２８】
次に、ステップＳ１０２において、確認リスト管理部１６が、ＪＩＳ  Ｑ  ２７００２や情報セキュリティ対策ベンチマーク等の既存の情報セキュリティ管理基準情報を入出力部１０を介して入力し、ベースラインリストＤＢ３４に格納する（情報記憶ステップ）。この既存の情報セキュリティ管理基準情報は、ある程度、一般的に評価されているものであることが望ましい。
【００２９】
次に、ステップＳ１０３において、確認リスト管理部１６が、オペレータからの指示に基づき、組織内で採用している情報セキュリティ施策を示す確認項目情報を生成し、生成した確認項目情報を確認リストＤＢ３３に格納する（情報関連付けステップ）（情報記憶ステップ）。
図９及び図１０に示すように、確認項目情報３００は、情報ＩＤ３０４、情報セキュリティ施策関連情報３０１、既存基準との関係情報３０２及び実施状況判断基準情報３０３から構成される。
【００３０】
ここで、確認項目情報３００の詳細を図１０を参照して説明する。
【００３１】
情報セキュリティ施策関連情報３０１は、次のような要素から構成される。
組織内の情報セキュリティ施策の概要を表す情報３０１２、組織内の情報セキュリティ施策の詳細を定めた文書３０１３、情報セキュリティ対策の実施状況を確認するための確認項目３０１１、実施対象者を特定する情報３０１４である。
確認項目３０１１に示されている内容（文章）がユーザに提示され、ユーザは確認項目３０１１の内容に従って、情報セキュリティ対策の実施状況を調査する。
また、情報３０１４には、確認項目３０１１の調査を行うユーザ、つまり、確認項目３０１１の対象となるユーザのユーザ属性が示される。ユーザ属性とは、例えば、所属部署、資格、役職、職能等である。
なお、情報セキュリティ施策関連情報３０１は、調査項目情報の例である。
【００３２】
また、既存基準との関係情報３０２には、情報セキュリティ施策関連情報３０１と関連付ける既存の情報セキュリティ管理基準情報（ＪＩＳ  Ｑ  ２７００２や情報セキュリティベンチマーク等）の識別情報３０２１が含まれる。
【００３３】
また、実施状況判断基準情報３０３は、次のような要素から構成される。
情報セキュリティ施策の実施状況を判断するための判断基準情報３０３１と、判断基準情報３０３１に示されるレベルのうち組織として目標とするレベルを示すベースライン３０３２である。
判断基準情報３０３１については、ある事実をもって実施状況を客観的に判断する、判断基準を複数のレベルで提示する。
例えば、図１０に示されているものの他、ユーザの７割以上が実施していればレベル１、ユーザの１０割実施していればレベル２、未実施者の実施状況をフォローして１０割実施を達成していればレベル３とすることが考えられる。
また、複数の判断細目の実施状況により、最終的な判断を行う（例えば、ノートパソコンの管理状況について、持出し／持帰りの確認、パスワードの設定、ＵＳＢポート管理等の全てが適切ならば、適切と判断する）等の方法をとってもよい。
【００３４】
次に、図２３を参照して、図２２に示した確認項目情報の生成、格納手順（Ｓ１０３）の詳細を説明する。
【００３５】
まず、確認リスト管理部１６は、入出力部１０を介して、オペレータから情報セキュリティ施策関連情報３０１を入力する（Ｓ１０３１）。なお、確認リスト管理部１６は、少なくとも、確認項目３０１１と、対象となるユーザ属性３０１４を取得すればよく、３０１２及び３０１３の情報はなくてもよい。
次に、確認リスト管理部１６は、入出力部１０を介して、オペレータから、Ｓ１０３１で入力した情報セキュリティ施策関連情報と関連付ける既存基準のＩＤ情報を入力し、入力したＩＤ情報に基づいて、既存基準との関係情報３０２を生成する（Ｓ１０３２）。
次に、確認リスト管理部１６は、入出力部１０を介して、オペレータから、実施状況判断基準情報３０３を入力する（Ｓ１０３３）。
そして、確認リスト管理部１６は、情報セキュリティ施策関連情報３０１、既存基準との関係情報３０２、実施状況判断基準情報３０３を組み合わせ、また、情報ＩＤ３０４を設定して、確認項目情報３００を生成する（Ｓ１０３４）。
また、確認リスト管理部１６は、情報ＩＤ３０４と既存基準のＩＤ３０２１から、リスト間関係情報４００（図１１）を生成し、生成したリスト間関係情報４００をリスト間関係管理部１７に渡す（Ｓ１０３５）。
次に、確認リスト管理部１６が確認項目情報３００を確認リストＤＢ３３に格納し（Ｓ１０３６）、リスト間関係管理部１７がリスト間関係情報４００をリスト間関係ＤＢ３５に格納する（Ｓ１０３７）。
なお、リスト間関係情報４００の生成（Ｓ１０３５）及び格納（Ｓ１０３７）は省略してもかまわない。
【００３６】
なお、例えば、組織内で情報システムの管理を所管している部門と、コンプライアンス状況を管理している部門が同じとは限らないので、確認項目情報を登録する管理者は、それぞれの所管部門から選出した複数名で構成してもよい。
また、確認項目情報が確定した時点で、オペレータは実施状況管理部１５を介して、確定した旨を確認リストＤＢ３３に登録し、実施状況確認フェーズにうつる。
【００３７】
次に、図２４を参照して、実施状況確認フェーズの詳細を説明する。
【００３８】
まず、Ｓ２０１において、利用者認証部１２は、入出力部１０を介してユーザからのアクセスがあるか否かを判断し、ユーザからのアクセスがあれば（Ｓ２０１でＹＥＳ）、利用者認証部１２は環境ＤＢ３１に格納されている利用者属性情報２００を用いてユーザ認証を行い、また、アクセスのあったユーザが認証された場合は、そのユーザのユーザ属性を判別する（Ｓ２０２）。
次に、実施状況入力部１４が、Ｓ２０２において判別されたユーザ属性に一致するユーザ属性が設定されている確認項目情報を確認リストＤＢ３３から抽出する（Ｓ２０３）。より具体的には、Ｓ２０２において判別されたユーザ属性に一致する内容が図１０のユーザ属性３０１４の欄に示される確認項目情報３００を抽出する。
このように、ユーザ属性を照合することで、例えば、「組織の情報セキュリティポリシーを知っている」という確認項目ならば、全ユーザに提示されるが、「サーバマシンのログ情報のバックアップ手順が確立している」という確認項目ならば、サーバマシンの管理を行うユーザのみに提示されるという運用が可能である。
【００３９】
次に、実施状況入力部１４は、Ｓ２０３で抽出した確認項目情報３００を入出力部１０を介してユーザに提示する（Ｓ２０４）。
ユーザは、提示された確認項目情報３００の確認項目３０１１に対して、実施状況判断基準情報３０３をにらみつつ、実施状況を判定する。
【００４０】
次に、実施状況入力部１４は、Ｓ２０４で提示した確認項目情報３００に対する応答として、入出力部１０を介して、ユーザから確認項目評価結果情報５００を取得する（Ｓ２０５）（調査結果取得ステップ）。このとき、実施状況入力部１４は、取得した確認項目評価結果情報５００に情報ＩＤを設定する。
次に、実施状況入力部１４は、Ｓ２０５で取得した確認項目評価結果情報５００を、Ｓ２０３で抽出した確認項目情報３００に関連付けて、回答結果ＤＢ３２に格納する（Ｓ２０６）（調査結果取得ステップ）。具体的には、実施状況入力部１４は、図１４に示す確認項目−結果関係情報６００を生成して、確認項目評価結果情報５００と確認項目情報３００を関連付ける。
【００４１】
また、実施状況管理部１５は、ユーザ毎あるいは確認項目毎に実施状況を管理する機能を備える。そのため、実施状況管理部１５は、実施確認の対象となる全利用者から、回答が得られたかどうかを確認し、実施確認の対象となる全利用者から回答が寄せられた時点で、分析フェーズにうつる。
【００４２】
分析フェーズでは、実施状況管理部１５が、ユーザから収集した確認項目評価結果情報から、分析情報を出力する。分析情報は、図１５に示す要素から構成される。
すなわち、既存の情報セキュリティ管理基準と照らし合わせた際の、確認項目の分布状況と、ベースライン状態と比較した結果等である。
【００４３】
管理者は、分析情報を元に、情報セキュリティ施策の拡充や強化、重複施策の解消等によって、情報セキュリティ施策の最適化を実現することができる。
【００４４】
以上のように、本実施の形態によれば、既存の情報セキュリティ管理基準と各確認項目を関連付けるようにしているので、組織内の情報セキュリティに係る施策の網羅性を確認することができる。
また、情報セキュリティ施策と、その実施を指示する文書に関連する情報等を関連付けて管理していることにより、重複した施策の有無を確認することができ、組織内の情報セキュリティ施策を効率的に管理することができる。
また、組織を取りまく環境の変化に応じて情報セキュリティ施策の変更や追加が発生する場合でも、関連した施策が管理しやすい状態にあるため、情報セキュリティ施策による効果の重複を回避することができる。
また、利用者の確認結果評価情報に、それを客観的に確認可能なエビデンスを関連付けることができるため、実際の情報セキュリティ施策の実施状況と確認結果評価情報の差分の有無により、適切な評価結果が得られているかどうかを確認することができる。
【００４５】
以上、本実施の形態では、組織内で採用している情報セキュリティ維持のための対策の実施状況を確認することを目的とした情報セキュリティ管理装置であって、以下の手段を有する情報セキュリティ管理装置を説明した。
利用者属性管理部：利用者の識別情報や、利用者の所属する組織の情報、利用者が情報セキュリティ上担う役割、利用者を認証するための認証情報等の、利用者属性情報を管理する手段、
利用者認証部：利用者属性管理部を通じて事前に登録された利用者属性情報と、利用者が実際に入力した情報によって、利用者を認証する手段、
実行処理制御部：利用者の属性や、各情報セキュリティ対策の実施状況の確認状態等から、利用者が実行可能な処理を制御する手段、
実施状況入力部：個別の情報セキュリティ対策の実施状況を確認するための項目に対して、利用者がその状況を直接回答したり、その実施状況を示すエビデンス情報を入力したりする手段、
実施状況管理部：個別の情報セキュリティ対策の実施状況を確認するための項目に対する、利用者の実施状況入力状況を管理する手段、
確認リスト管理部：個別の情報セキュリティ対策の実施状況を確認するための項目の集合である確認リスト自体の処理状況を管理する手段、
リスト間関係管理部：ＪＩＳ  Ｑ  ２７００２に代表される既存の情報セキュリティ管理策集と、組織内で採用する個別の情報セキュリティ対策の実施状況を確認するための項目との関係を管理する手段。
そして、リスト間関係管理部によって、既存の情報セキュリティ管理策集と個別の情報セキュリティ対策の実施状況を確認するための項目とを関係づけることにより、組織の情報セキュリティ対策の網羅性を検証できることを説明した。
【００４６】
実施の形態２．
以上の実施の形態１では、ある組織内での情報セキュリティ施策の実施状況の管理を容易にするようにしたものであるが、既存基準と情報セキュリティ施策関連情報の関連付けは、オペレータが指示していた。
本実施の形態では、情報セキュリティ施策関連情報と既存基準との関連付けを支援する例を説明する。
【００４７】
図２は、本実施の形態に係る情報セキュリティ管理装置１の構成例を示す。
図２の構成例では、図１の構成のリスト間関係管理部１７の代わりに、分類基準誘導部１８を備える。
分類基準誘導部１８は、段階的に質問を提示し、オペレータがその質問に回答していくことで、既存の情報セキュリティ管理基準情報（既存基準）と、確認リスト中の確認項目との関連付けをナビゲートする。
つまり、分類基準誘導部１８は、情報セキュリティ施策関連情報の関連付けの対象となるセキュリティ管理基準情報を、複数のセキュリティ管理基準情報の中から選択するための質問メッセージを生成し、生成した質問メッセージを入出力部１０を介して出力し、質問メッセージに対する応答を入出力部１０を介して入力し、質問メッセージと応答とに基づき、情報セキュリティ施策関連情報の関連付けの対象となるセキュリティ管理基準情報を選択する。
なお、本実施の形態では、入出力部１０はメッセージ出力部及び応答入力部の例であり、また、分類基準誘導部１８は、情報関連付け部の一部を構成する。
【００４８】
分類基準誘導部１８は、ガイド項目情報を用いて、質問メッセージを生成する。
ガイド項目情報は、既存の情報セキュリティ管理基準の内容や構成を説明するための情報であって、複数のガイド項目情報が連結している。
ガイド項目情報は、該当する分野、分野内の大分類、大分類を細分化した中分類、中分類を細分化した小分類等のように、それを利用して確認項目情報を登録する管理者が、目的の情報に徐々にフォーカスがあたっていくような階層的な構成を持つものとする。
ガイド項目情報は、次のような要素から構成される。
１）管理者が、登録したい情報セキュリティ施策を情報セキュリティ管理項目に関連付けるために、情報セキュリティ管理装置１側が管理者に確認する質問メッセージ、
２）質問メッセージに回答する際の選択肢、
３）選択肢を各々選択した際に、関連付けられる既存の情報セキュリティ管理基準情報或いは情報セキュリティ管理装置１が次に管理者に提示するガイド項目情報を識別するための情報。
【００４９】
ガイド項目情報は、例えば、図１６及び図１７に示す情報である。
ガイド項目情報８００は、例えば、ガイド項目情報の番号８０１、質問メッセージ８０２、当該質問メッセージ８０２に対する選択肢情報８０３から構成される。
選択肢情報８０３には、複数の選択肢８０３１、８０３２が含まれている。また、選択肢８０３１、８０３２には、次項目の情報が含まれており、ある選択肢が管理者により応答された場合は、その選択肢の次項目の欄に示されている番号のガイド項目情報の質問メッセージが管理者に提示される。
例えば、図１７において、ガイド項目情報８００ａの質問メッセージ８０２ａ「対象となる情報資産の種類はどれか」が管理者に提示されるとともに、応答の選択肢として、選択肢１（８０３１ａ）の「クライアントマシン」や選択肢２（８０３２ａ）の「サーバマシン」等が管理者に提示され、管理者が「クライアントマシン」を選択した場合には、選択肢１（８０３１ａ）の次項目として示されている番号１３に該当するガイド項目情報８００ｂが次に選択される。
そして、質問メッセージ８０２ｂ「どのフェーズでのマシンの取り扱いに関するものか」が提示され、また、選択肢として「廃棄、初期化後再利用」、「導入時、設置時」等が管理者に提示される。
【００５０】
ガイド項目情報８００の順序としては、例えば図１７に示すように、最初に、ガイド項目として確認対象の情報資産の種類を選択するようにし（クライアントマシン、サーバマシン、ネットワーク機器、測定機器等のＨ／Ｗ、モバイル機器、紙、媒体、オフィス機器、電子データ、人等）、次に各情報資産のライフサイクル中のどのフェーズに関連するかを選択するよう設定し（入手・生成、移動・配送、複製、削除・廃棄、バックアップ、復旧等）、さらに、必要があればそのフェーズの詳細化したものから適切なものを選択（移動・配送の細分化したものとして、持帰りの有無等）していくことが考えられる。
また、最終的にたどり着いたガイド項目情報には、既存の情報セキュリティ管理基準情報のいずれかに関連付けておくこととする。
また、このガイド項目情報は、ＪＩＳ  Ｑ  ２７００２の箇条−セキュリティカテゴリ−管理策−実施の手引という構造に当てはめてみてもよいし、情報セキュリティベンチマーク対策の分類にあてはめてみてもよい。
【００５１】
次に動作について説明する。
実施の形態１では、既存基準との関連情報は、それを入力する管理者が提供するものとしているが、実施の形態２では、既存基準との関連情報の作成手順を支援する。
具体的には、図２５に示すフローに従う。
【００５２】
図２５において、まず、実施の形態１と同様に、確認リスト管理部１６が、入出力部１０を介して、オペレータから情報セキュリティ施策関連情報３０１を入力する（Ｓ１０３１）。
次に、分類基準誘導部１８が、ガイド項目情報に示されている質問メッセージと選択肢を入出力部１０を介してオペレータに提示する（Ｓ１０４１）。
また、分類基準誘導部１８は、入出力部１０を介して、オペレータからの応答を取得する（Ｓ１０４２）。
そして、Ｓ１０４２で取得した応答によって、Ｓ１０３１で入力した情報セキュリティ施策関連情報を関連付ける既存基準が特定できた場合（Ｓ１０４３でＹＥＳ）は、確認リスト管理部１６が、その既存基準と情報セキュリティ施策関連情報とを関連付ける既存基準との関係情報３０２を生成する（Ｓ１０４４）。
一方、既存技術が特定されない場合（Ｓ１０４３でＮＯ）は、分類基準誘導部１８は、次のガイド項目情報を検索し、Ｓ１０４１以降の処理を繰り返す。
また、ステップＳ１０４４で既存基準との関係情報３０２が生成された後の動作は図２３のＳ１０３３〜Ｓ１０３７と同様である（Ｓ１０４５）。
【００５３】
このように、本実施の形態によれば、あるガイド項目を選択すると、結果としてより詳細なガイド項目が提示されるので、管理者の確認項目情報登録時の、既存基準との関連情報を作成する際に、情報セキュリティ管理装置側の提示するガイドに従うだけで適切に作業することができる。
つまり、管理者は、情報セキュリティ管理装置が提示する質問に対して選択肢を回答するだけで、確認項目と既存基準との関連付けを適切に行うことができる。
そして、既存の情報セキュリティ管理基準に対する組織の情報セキュリティ施策の網羅性を確認するために、情報セキュリティ管理項目と個々の情報セキュリティ施策を関連付けるための既存基準との関連情報が容易に作成できることから、実施の形態１で実現した管理負荷軽減をさらに加速させることが可能となる。
【００５４】
以上、本実施の形態では、ＪＩＳ  Ｑ  ２７００２に代表される既存の情報セキュリティ管理策集と、個別の情報セキュリティ対策の実施状況を確認するための確認項目との関係を管理する手段として、段階的に質問を提示し、利用者がその質問に回答していくことで、既存の情報セキュリティ管理策集と、確認リスト中の確認項目との関連付けをナビゲートする分類基準誘導部を説明した。
【００５５】
実施の形態３．
実施の形態２では、既存の情報セキュリティ管理基準と組織の情報セキュリティ施策を関連付けるための情報の作成を支援している。
本実施の形態では、もう一種類の支援の方法として、既存の情報セキュリティ管理基準内で利用されている用語等を検索し、その一致率によって情報同士を関連づけることを支援する例を説明する。
【００５６】
図３は、このような場合の、情報セキュリティ管理装置１の構成を示す。
図２の構成に加えて、キーワード抽出部１９とキーワードＤＢ３６を備える。
キーワード抽出部１９は、既存の情報セキュリティ管理基準情報の評価基準に含まれているキーワードと、情報セキュリティ施策関連情報の確認項目に含まれているキーワードをそれぞれ抽出する。
また、キーワードＤＢ３６は、既存の情報セキュリティ管理基準情報の評価基準から抽出したキーワードを格納する。
なお、図３では、分類基準誘導部１８が示されているが、分類基準誘導部１８は省略可能である。
本実施の形態では、キーワード抽出部１９は、情報関連付け部の一部を構成する。
【００５７】
次に、図１８を用いて、本実施の形態に係る既存の情報セキュリティ管理基準情報と情報セキュリティ施策関連情報との関連付けの概要を説明する。
既存の情報セキュリティ管理基準情報には、情報セキュリティ対策の実施状況の評価基準が示されており、この評価基準の文章からキーワード抽出部１９がキーワードを抽出し、照合用キーワード情報としてキーワードＤＢ３６に登録しておく。
そして、情報セキュリティ施策関連情報の確認項目からも同様にしてキーワード抽出部１９がキーワードを抽出し、確認リスト管理部１６が、確認項目から抽出されたキーワードとキーワードＤＢ３６に格納されているキーワードとを比較して、関連付けの候補となる既存基準を抽出し、抽出した既存基準をリストアップして、管理者に提示し、管理者がリストの中から関連付けの対象となる既存基準を選択する。
【００５８】
次に、図２６及び図２７を参照して、本実施の形態に係る動作を説明する。
図２６はキーワード抽出フェーズの動作を示すフローチャートであり、図２７は本実施の形態における確認項目情報の生成、格納手順（Ｓ１０３）の詳細を示すフローチャートである。
【００５９】
まず、図２６の動作を説明する。
キーワード抽出フェーズは、例えば、図２２のＳ１０２において既存の情報セキュリティ管理基準情報がベースラインリストＤＢ３４に格納する際に行われる。
図２６において、まず、キーワード抽出部１９が、Ｓ４０１において、情報セキュリティ管理基準情報の評価基準の本文中から用語や表現を抽出して、抽出元の情報セキュリティ管理基準情報と対応付けて、照合用キーワード情報としてキーワードＤＢ３６に登録する。
キーワード抽出にあたっては、名詞句を自動抽出する。その後、管理者やその他情報セキュリティ有識者が必要に応じて照合用キーワードを修正してもよい。
また、全ての情報セキュリティ管理基準情報の評価基準からキーワード抽出が終わった後、キーワード抽出部１９は、再度、各情報セキュリティ管理基準情報の評価基準を入力し、ステップＳ４０２において、照合用キーワード情報中のキーワードの出現キーワード数や各キーワードの出現頻度を計測し、ベースライン情報キーワード出現率として、抽出元の情報セキュリティ管理基準情報と対応付けて、ベースラインリストＤＢ３４に登録する。
なお、ステップＳ４０２の動作を省略してもよい。
【００６０】
ステップＳ４０１では、照合用キーワード情報を、登録する情報セキュリティ管理基準から抽出しているが、インターネットや書籍等で公開されている情報セキュリティ用語集等を利用してもよい。この場合は、情報セキュリティ用語集から抽出した照合用キーワード情報に対応する情報セキュリティ管理基準情報（既存基準）を管理者等が指定する。
また、照合用キーワード情報に含まれる用語と、組織内で利用している用語に齟齬がある場合、それらを関連付けておいて、キーワードＤＢ３６に登録してもよい。
【００６１】
次に、図２７に示す動作を説明する。
まず、実施の形態１と同様に、確認リスト管理部１６が、入出力部１０を介して、オペレータから情報セキュリティ施策関連情報３０１を入力する（Ｓ１０３１）。
次に、キーワード抽出部１９が、Ｓ１０３１で入力した情報セキュリティ施策関連情報３０１の確認項目３０１１の文章からキーワードを抽出する（Ｓ１０５１）。例えば、確認項目３０１１の文章に含まれている名詞句を抽出する。
次に、図２６で示したステップＳ４０２が実施されていれば、キーワード抽出部１９は、ステップＳ４０２と同様に、確認項目３０１１の文章に含まれているキーワードに対して、出現キーワード数、出現回数を確認項目キーワード出現率として計測する（Ｓ１０５２）。
次に、確認リスト管理部１６が、確認項目３０１１から抽出されたキーワードとキーワードＤＢ３６に格納されている照合用キーワードとを比較し、また、ベースライン情報キーワード出現率及び確認項目キーワード出現率を参酌して、確認項目とキーワードの一致度合いが高い情報セキュリティ管理基準情報（既存基準）を抽出し、抽出した情報セキュリティ管理基準情報を示すリストを生成する（Ｓ１０５３）。
次に、確認リスト管理部１６は、入出力部１０を介して、情報セキュリティ管理基準情報のリストを管理者に提示する（Ｓ１０５４）。
そして、管理者がリストの中から関連付けの対象となる情報セキュリティ管理基準情報を選択すると、確認リスト管理部１６が入出力部１０を介して、管理者からの指定を受付け（Ｓ１０５５）、管理者から指定された既存基準と確認項目３０１１とを関連付ける既存基準との関係情報３０２を生成する（Ｓ１０５６）。
また、ステップＳ１０５６で既存基準との関係情報３０２が生成された後の動作は図２３のＳ１０３３〜Ｓ１０３７と同様である（Ｓ１０５７）。
【００６２】
以上のように、本実施の形態によれば、既存の情報セキュリティ管理基準と、組織の情報セキュリティ施策の各々から情報セキュリティに関連するキーワードを抽出し、その一致率によってそれらの関係を判断できるので、実施の形態１で実現した管理負荷をさらに軽減することが可能となる。
【００６３】
以上、本実施の形態では、既存の情報セキュリティ管理策集の各対策の内容を示すキーワードと、確認リスト中の確認項目のキーワードをそれぞれ抽出し、そのヒット率で双方を関連付けるキーワード抽出部を説明した。
【００６４】
実施の形態４．
以上の実施の形態では、ある組織内での情報セキュリティ施策の実施状況の管理を容易にするようにしたものだが、次に、情報セキュリティ施策間の関連情報を管理し、回答側の負荷を軽減することを目的とする実施の形態を示す。
【００６５】
組織内の情報セキュリティ施策の記述は曖昧なものが多く、誰が何をどうするのかが明記されていないことがある。
また、誰が、情報セキュリティ施策の順守状況を確認するのかについても、曖昧なままであることが多い。
情報セキュリティ施策では、利用者が情報セキュリティ上担う役割によって、確認が必要な事項が異なる場合があり、このような曖昧な記述は、施策の確実な実施を妨げるものとなる。
例えば、指定したＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）のパッチ情報がベンダから提示された場合に、規定時間以内にパッチプログラムを適用する、という施策を導入していたとする。この時、ユーザは、自身がパッチプログラムを適用しているか否かを実施状況として報告するが、管理者は、その実施状況をみて、未適用のユーザに対してフォローしたり、適用できない理由があればそれが妥当かどうかを判断したりする、という役割があるとする。
この施策の場合、同じ情報セキュリティ施策に対して、ユーザと管理者で、実施する内容が異なることになる。
【００６６】
本実施の形態では、「情報セキュリティ施策を指示するにあたって曖昧な文章」とはどのようなものかを事前に定義し、それにマッチした文章が情報セキュリティ施策関連情報に登録されている／されようとしている場合にそれを検出し、より明確な指示や文章になるよう誘導する手段を提供する。
【００６７】
図４は、この場合の情報セキュリティ管理装置１の構成を示す。
以上の実施の形態で説明してきた情報セキュリティ管理装置１に対して、図４では、項目間関係管理部２０と項目間関係ＤＢ３７を追加している。
なお、図４では、分類基準誘導部１８、キーワード抽出部１９及びキーワードＤＢ３６が含まれているが、これらは省略してもよい。
【００６８】
項目間関係管理部２０は、情報セキュリティ施策関連情報の確認項目の文章を構文解析し、構文解析の結果に基づき、当該確認項目を詳細化する新たな調査項目の生成が必要であるか否かを判断し、新たな調査項目の生成が必要である場合に、新たな調査項目の生成が必要であることを通知する通知メッセージを生成し、入出力部１０を介して通知メッセージを出力する。
また、項目間関係管理部２０は、通知メッセージへの管理者からの応答を入出力部１０を介して入力し、入力した応答に基づいて、新たな確認項目が示される新たな情報セキュリティ施策関連情報を生成する。項目間関係管理部２０は、２つ以上の新たな情報セキュリティ施策関連情を生成することがある。新たな情報セキュリティ施策関連情報は、確認リストＤＢ３３に格納される。
また、項目間関係管理部２０は、新たな情報セキュリティ施策関連情報と当該新たな情報セキュリティ施策関連情報の生成元となった情報セキュリティ施策関連情報（以下、生成元情報セキュリティ施策関連情報という）との関係が示される項目間関係情報を作成する。
項目間関係管理部２０は、調査項目判断部及び調査項目情報生成部の例である。
項目間関係ＤＢ３７は、項目間関係管理部２０により生成された項目間関係情報を格納する。
【００６９】
また、本実施の形態では、確認リスト管理部１６は、項目間関係管理部２０により複数の新たな情報セキュリティ施策関連情報が生成された場合に、複数の情報セキュリティ施策関連情報を共通のセキュリティ管理基準情報（既存基準）に関連付ける。
また、確認リスト管理部１６は、管理者からの指定に従い、複数の新たな情報セキュリティ施策関連情報の各々に対して、個別に、対象となるユーザ属性を設定する。つまり、新たな情報セキュリティ施策関連情報ごとに異なるユーザ属性を設定することができる。
そして、実施状況入力部１４は、実施の形態１と同様に、利用者認証部１２により判別されたユーザ属性に一致するユーザ属性が設定されている情報セキュリティ施策関連情報を抽出して、アクセスのあったユーザに確認項目を提示するが、前述したように、新たな情報セキュリティ施策関連情報ごとに異なるユーザ属性が設定される場合があるので、新たな情報セキュリティ施策関連情報ごとに確認項目が提示されるユーザが異なる場合がある。
【００７０】
図１９を用いて、本実施の形態に係る情報セキュリティ管理装置１の動作の概要を説明する。
例えば、確認項目３０１１に「ベンダからリリースされたパッチプログラムは、適用が社内でオーソライズされてから、指定期間内に適用する」と記載され、対象となるユーザ属性３０１４は全従業員となっている情報セキュリティ施策関連情報３０１（項目１）が存在している。
確認項目３０１１に示されている内容は、「各一般利用者が、それぞれ自身のコンピュータにパッチプログラムを適用したことを確認する」というステップと、「一般利用者の確認結果から、一般利用者全員のコンピュータでパッチプログラムが適用済みであることを管理者が確認する」というステップの２段階で達成される。
このため、項目間関係管理部２０は、情報セキュリティ施策関連情報３０１（項目１）の確認項目３０１１に示されている内容が曖昧であり、新たな確認項目の生成が必要と判断し、管理者にその旨を通知する。
そして、管理者からの指示に従って、例えば、一般の従業員を対象とする新たな情報セキュリティ施策関連情報３０１ａ（項目１−ａ）と、部門長／部門内担当者を対象とする新たな情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）を生成する。
また、項目間関係管理部２０は、管理者からの指示に従って、項目間関係情報３７１を生成する。
図１７の例では、関係１として、項目１は項目１−ａと項目１−ｂに細分化されていることが示されている。また、関係２として、項目１−ａの結果が１００％ならば、項目１―ｂはＯＫであるということが示されている。
また、関係３として、項目１−ａの結果が１００％未満ならば、項目１―ｂはＮＧであるということが示されている。
このような生成元情報セキュリティ施策関連情報、新たな情報セキュリティ施策関連情報の相互間の関係が示される項目間関係情報３７１は、項目間関係ＤＢ３７に格納される。
そして、実施状況入力部１４は、情報セキュリティ施策関連情報３０１ａ（項目１−ａ）を一般の従業員に提示し、情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）を部門長／部門内担当者に提示して、それぞれから確認項目評価結果情報５００を取得する。
取得した確認項目評価結果情報５００は、項目間関係情報３７１の関係に従って解析される。
【００７１】
次に、図２８を参照して、本実施の形態における確認項目情報の生成、格納手順（Ｓ１０３）の詳細を説明する。
【００７２】
まず、実施の形態１と同様に、確認リスト管理部１６が、入出力部１０を介して、オペレータから情報セキュリティ施策関連情報３０１を入力する（Ｓ１０３１）。
次に、項目間関係管理部２０が、入力した情報セキュリティ施策関連情報３０１の確認項目３０１１の文章の構文解析を行う（Ｓ１０６１）。
そして、項目間関係管理部２０は、確認項目３０１１の文章が曖昧な指示であるか否かを判断する（Ｓ１０６２）。
例えば、項目間関係管理部２０は、確認項目３０１１の文章が以下の条件（１）及び（２）に合致した場合には、「曖昧な指示」と判断する。
（１）人や組織が主語でない。
（２）判断基準が数値化されていない。
【００７３】
項目間関係管理部２０は、確認項目３０１１の文章が「曖昧な指示」」であると判断した場合（Ｓ１０６２でＹＥＳ）は、「曖昧な指示」を「明確な指示」にするよう通知する通知メッセージを生成し、入出力部１０から通知メッセージを出力する。また、通知メッセージには、例えば、上記の条件（１）及び（２）に該当していることを通知する。
次に、項目間関係管理部２０は、入出力部１０を介して、管理者から細分化の具体的な内容を入力する（Ｓ１０６４）。
図１７の新たな情報セキュリティ施策関連情報３０１ａ、３０１ｂを生成する場合には、３０１１ａ〜３０１５ａの各々に示す情報、３０１１ｂ〜３０１５ｂの各々に示す情報を入力する。
また、項目間関係管理部２０は、併せて、項目間関係情報３７１の具体的内容も管理者より入力する。
そして、項目間関係管理部２０は、管理者からの指示に従って、情報セキュリティ施策関連情報３０１を細分化して、新たな情報セキュリティ施策関連情報３０１ａ、３０１ｂを生成する（Ｓ１０６５）。
また、項目間関係管理部２０は、併せて、管理者からの指示に従って、項目間関係情報３７１を生成し、項目間関係ＤＢ３７に格納する。
【００７４】
その後の動作は図２３のＳ１０３２〜Ｓ１０３７と同様である（Ｓ１０６６）。
但し、Ｓ１０３２において、確認リスト管理部１６は、既存基準との関係情報を生成するが、本実施の形態では、生成元情報セキュリティ施策関連情報、新たな情報セキュリティ施策関連情報の各々に共通の既存基準を関連付ける。
【００７５】
以上のように、確認項目が細分化されて確認項目情報が作成された後の実施状況確認フェーズは、図２４に示した手順に従う。
例えば、利用者αは、一般の利用者であり、情報セキュリティの管理についての役割を割り当てられていないとする。この利用者αが、情報セキュリティ管理装置１にアクセスすると、図２４のＳ２０３及びＳ２０４において、実施状況入力部１４が、アクセスのあった利用者αの属性に一致する情報セキュリティ施策関連情報として図１９に示した情報セキュリティ施策関連情報３０１ａ（項目１−ａ）を選択して提示する。そして、利用者αは、情報セキュリティ施策関連情報３０１ａ（項目１−ａ）に対する実施状況を入力する。
【００７６】
新たな情報セキュリティ施策関連情報３０１ａ（項目１−ａ）に回答しなければならない利用者が他にもいる場合、情報セキュリティ管理装置１は実施状況管理部１５からそれを認識できるので、情報セキュリティに関する管理者の役割をもつ利用者βが情報セキュリティ管理装置１にアクセスした場合、実施状況入力部１４はまだ、情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）は提示しない。
【００７７】
そして、全ての一般利用者が情報セキュリティ施策関連情報３０１ａ（項目１−ａ）に対する実施状況を入力すると、実施状況管理部１５がそれを検知する。
情報セキュリティに関する管理者の役割をもつ利用者βが情報セキュリティ管理装置１にアクセスすると、実施状況入力部１４は利用者βに対し、情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）とともに、情報セキュリティ施策関連情報３０１ａ（項目１−ａ）の結果を提示する。
管理者は、この結果から、情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）の実施状況を入力する。
この時、管理者は、情報セキュリティ施策関連情報３０１ｂ（項目１−ｂ）の実施状況を補足する情報として、情報セキュリティ施策関連情報３０１ａ（項目１−ａ）の回答結果、情報セキュリティ施策関連情報３０１ａ（項目１−ａ）の回答結果を示すエビデンス（例えば、各利用者の、情報セキュリティポリシーへのアクセスログ）を、エビデンス情報として添付してもよい。
【００７８】
以上の説明では、「曖昧な指示」か否かの判断基準として、主語の有無、数値による基準の有無を示したが、判断基準はこれらに限るものではない。
また、「曖昧な指示」か否かの判断基準は、必要に応じて追加・削除することもできる。
【００７９】
このように、本実施の形態によれば、確認項目の文章の構文解析を行い、確認項目の内容が曖昧であれば、新たな確認項目を生成し、確認すべき内容をより詳細化することができるので、情報セキュリティ対策の実施状況をより正確かつ効率的に確認、評価することができる。
【００８０】
以上、本実施の形態では、確認項目の内容の曖昧さを検出し、確認項目の詳細化を支援する項目間関係管理部を説明した。
【００８１】
実施の形態５．
以上の実施の形態では、ある組織内で情報セキュリティ管理装置１を運用する例について説明したが、次に、階層化された組織で情報セキュリティ管理装置１を導入することで、組織全体の情報セキュリティ施策や、ある一部の組織で追加的に行っている情報セキュリティ強化施策などについても一元管理し、管理者の管理負荷及び利用者の実施状況回答負荷を軽減する例を説明する。
【００８２】
例えば、図２０に示すように、組織αでは、組織共通の情報セキュリティ施策群Ｓが展開されているとする。組織内の下位組織であるサブ組織Ａでは、顧客Ｃの要求によって情報セキュリティ施策群ｓが導入されている。この場合、施策ｓは施策Ｓに反しない施策であり、付加的に追加される施策、または施策Ｓを強化した施策である。
この時、サブ組織Ａでは、施策Ｓ＋施策ｓの情報セキュリティ施策群の実施状況について確認する必要がある。
【００８３】
図５及び図６は、このような場合に対応するための情報セキュリティ管理装置を示したものである。
図５では、情報セキュリティ管理装置は、組織共通の情報セキュリティ施策群Ｓを管理する上位情報セキュリティ管理装置１０００を示し、図６では、業務上情報セキュリティ施策を追加した下位組織での情報セキュリティ施策群ｓも合わせて管理する下位情報セキュリティ管理装置１１００からなる。
【００８４】
上位情報セキュリティ管理装置１０００では、これまでの実施の形態で説明した要素に加えて、配付情報抽出部１０１、装置間情報交換部１０２、回答情報入手部１０３を備える。
配付情報抽出部１０１は、組織全体で実施する情報セキュリティ施策群に関する情報を下位情報セキュリティ管理装置１１００に配付するために、装置内のＤＢ群から必要な情報を抽出して配付用情報として構成する。
装置間情報交換部１０２は、上位と下位の情報セキュリティ管理装置間での情報交換を行う。
回答情報入手部１０３は、下位情報セキュリティ管理装置１１００から入手した共通回答情報を回答結果ＤＢ３２に登録する。
【００８５】
また、下位情報セキュリティ管理装置１１００は、これまでの実施の形態で説明した要素に加えて、装置間情報交換部１０２、差分情報抽出部１０４及び差分データベース群１１１〜１１５を備える。
装置間情報交換部１０２は、上位情報セキュリティ管理装置１０００の装置間情報交換部１０２と同様に、上位と下位の情報セキュリティ管理装置間での情報交換を行う。
差分情報抽出部１０４は、上位情報セキュリティ管理装置１０００から配付されてきた配付情報と、現在登録されている情報セキュリティ施策に関する情報の差分を抽出する。
差分データベース群１１１〜１１５は、差分情報抽出部１０４で抽出された差分情報を格納する。
差分データベース群１１１〜１１５はデータベース群３３〜３７に対応しており、差分データベース群１１１〜１１５の各データベースは、データベース群３３〜３７の同じ名称のデータベースに格納される情報と同種の差分情報を格納する。
【００８６】
本実施の形態では、このようにして、上位情報セキュリティ管理装置１０００と下位情報セキュリティ管理装置１１００とを設け、組織全体に関係する情報セキュリティ施策関連情報と、特定のサブ組織に関係する情報セキュリティ施策関連情報とを区別して記憶し、また、組織全体に関係する情報セキュリティ施策関連情報に対しては、組織全体からの確認結果を取得し、特定のサブ組織に関係する情報セキュリティ施策関連情報に対しては、特定のサブ組織からの確認結果を取得するようにしている。
【００８７】
次に、動作について説明する。
【００８８】
上位情報セキュリティ管理装置１０００内でのベースラインリストＤＢ３４、確認リストＤＢ３３、キーワードＤＢ３６、リスト間関係ＤＢ３５、項目間関係ＤＢ３７、環境ＤＢ３１への登録手順は、実施の形態１〜４に示したものと同様である。
また、下位情報セキュリティ管理装置１１００内での環境ＤＢ３１への登録手順も、実施の形態１〜４で述べた手順と同様である。
【００８９】
（ステップａ−１）上位情報セキュリティ管理装置１０００では、図２２のＳ１０１で示す環境ＤＢ３１への登録処理に加えて、上位情報セキュリティ管理装置１０００から情報を配付する相手となる下位情報セキュリティ管理装置１１００を特定するための情報や下位情報セキュリティ管理装置１１００の認証情報等を、環境ＤＢ３１で管理する。
【００９０】
（ステップａ−２）配布情報抽出部１０１は、上位情報セキュリティ管理装置１０００で管理する全情報セキュリティ管理基準情報のうち、下位情報セキュリティ管理装置１１００に関連する情報を抽出して、配付情報として作成する。下位情報セキュリティ管理装置１１００に関連しない情報は、上記ステップａ−１で追加で環境ＤＢ３１に登録した情報等である。
【００９１】
（ステップａ−３）配付情報抽出部１０１によって作成された配付情報は、装置間情報交換部１０２を介して、下位情報セキュリティ管理装置１１００に届けられる。
この時、装置間情報交換部１０２は、情報セキュリティ管理装置間で直接通信してもよいし、媒体等を介して配付情報を入出力する機能としてもよい。また、認証情報を利用したより確実な認証機能をあわせて備えてもよい。
【００９２】
（ステップａ−４）下位情報セキュリティ管理装置１１００では、差分情報抽出部１０４が、装置間情報交換部１０２によって入手した配付情報から、全情報セキュリティ管理基準情報を構成する各ＤＢ３３〜３７に相当する情報に展開して登録する。
この時、下位情報セキュリティ管理装置１１００が初期状態であれば、全ての配付情報は、全情報セキュリティ管理基準情報を構成する各ＤＢ３３〜３７に登録されるが、既に上位情報セキュリティ管理装置１０００から配付情報を受け取って、全情報セキュリティ管理基準情報を構成する各ＤＢ３３〜３７に登録されていた場合、差分情報抽出部１０４は、既存の各ＤＢ３３〜３７の内容と配付情報との差分を抽出し、差分データベース群１１１〜１１５に登録する。
【００９３】
（ステップａ−５）上位情報セキュリティ管理装置１０００からの配付情報を受け取った後、下位情報セキュリティ管理装置１１００では、上位情報セキュリティ管理装置１０００から配付された全情報セキュリティ管理基準情報を元に、下位組織での情報セキュリティ施策群ｓを追加で登録してもよい。
確認リスト管理部１６では、ステップａ−４で登録された確認リストを構成する確認項目を管理者に対して提示する。この時、組織内で独自に採用している情報セキュリティ施策があれば、追加情報として登録する。
または、下位組織内での業務にマッチするように、用語を使い分けているようであれば、登録された確認項目に対して、下位組織で利用している情報を補足してもよい。
【００９４】
（ステップａ−６）この時、ステップａ−５で登録された情報があれば、差分情報抽出部１０４は、差分データベース群に登録する。
【００９５】
次に、下位組織内での実施状況確認フェーズに移る。
下位組織内での実施状況確認フェーズの動作は、図２４と同様である。
【００９６】
実施確認の対象となる全利用者から回答が寄せられた時点で、分析フェーズに移る点も、実施の形態１で示したものと同様である。
【００９７】
次に、下位情報セキュリティ管理装置１１００では、上位情報セキュリティ管理装置１０００から配付された配付情報に対して、下位情報セキュリティ管理装置１１００の利用者が回答した情報を抽出して、上位に送付するフェーズとなる。
【００９８】
（ステップａ−７）下位情報セキュリティ管理装置１１００の差分情報抽出部１０４は、上位情報セキュリティ管理装置１０００から配付された配付情報に対する回答情報を、共通回答情報として抽出し、装置間情報交換部１０２を介して、上位情報セキュリティ管理装置１０００に届ける。
【００９９】
（ステップａ−８）上位情報セキュリティ管理装置１０００では、回答情報入手部１０３が、装置間情報交換部１０２によって入手した共通回答情報を、回答結果ＤＢ３２に回答情報として登録する。上位情報セキュリティ管理装置１０００の管理者は、必要に応じて、回答結果に対する分析を行う。
【０１００】
このようにすることで、組織共通の情報セキュリティ施策と下位組織内での情報セキュリティ施策が同一でなく、後者が前者を包含している場合でも、組織共通の情報セキュリティ施策の実施状況と、下位組織内独自の情報セキュリティ実施状況を別々に管理することができ、組織で規定した情報セキュリティ施策が適切に実施されていることを確認できる。
【０１０１】
以上、本実施の形態では、組織内の情報セキュリティ施策の実施状況を階層的に管理することを目的とする、上位情報セキュリティ管理装置と下位情報セキュリティ管理装置を説明した。
そして、上位情報セキュリティ管理装置は、以下の手段を備えることを説明した。
配付情報抽出部：組織全体で実施する情報セキュリティ施策群に関する情報を下位情報セキュリティ管理装置に配付するために、装置内のＤＢ群から必要な情報を抽出して配付用情報として構成する。
装置間情報交換部：上位と下位の情報セキュリティ管理装置内での情報交換を行う。
回答情報入手部：下位情報セキュリティ管理装置から入手した共通回答情報を回答結果ＤＢに登録する。
また、下位情報セキュリティ管理装置は、以下の手段を備えることを説明した。
差分情報抽出部：上位情報セキュリティ管理装置から配付されてきた配付情報と、現在登録されている情報セキュリティ施策に関する情報の差分を抽出する。
装置間情報交換部：上位と下位の情報セキュリティ管理装置内での情報交換を行う。
【０１０２】
最後に、実施の形態１〜５に示した情報セキュリティ管理装置１、上位情報セキュリティ管理装置１０００、下位情報セキュリティ管理装置１１００（以下、まとめて情報セキュリティ管理装置１等と表記する）のハードウェア構成例について説明する。
図２９は、実施の形態１〜５に示す情報セキュリティ管理装置１等のハードウェア資源の一例を示す図である。
なお、図２９の構成は、あくまでも情報セキュリティ管理装置１等のハードウェア構成の一例を示すものであり、情報セキュリティ管理装置１等のハードウェア構成は図２９に記載の構成に限らず、他の構成であってもよい。
【０１０３】
図２９において、情報セキュリティ管理装置１等は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
【０１０４】
例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）などに接続されている。
【０１０５】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【０１０６】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【０１０７】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
情報セキュリティ管理装置１等の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０１０８】
上記プログラム群９２３には、実施の形態１〜５の説明において「〜部」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０１０９】
ファイル群９２４には、実施の形態１〜５の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の評価」、「〜の登録」、「〜の設定」、「〜の取得」、「〜の選択」、「〜の認証」、「〜の抽出」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜５で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０１１０】
また、実施の形態１〜５の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１〜５の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜５の「〜部」の手順や方法をコンピュータに実行させるものである。
【０１１１】
このように、実施の形態１〜５に示す情報セキュリティ管理装置１等は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０１１２】
１  情報セキュリティ管理装置、２  利用者、１０  入出力部、１１  利用者属性管理部、１２  利用者認証部、１３  実行処理制御部、１４  実施状況入力部、１５  実施状況管理部、１６  確認リスト管理部、１７  リスト間関係管理部、１８  分類基準誘導部、１９  キーワード抽出部、２０  項目間関係管理部、３１  環境ＤＢ、３２  回答結果ＤＢ、３３  確認リストＤＢ、３４  ベースラインリストＤＢ、３５  リスト間関係ＤＢ、３６  キーワードＤＢ、３７  項目間関係ＤＢ  １０１  配付情報抽出部、１０２  装置間情報交換部、１０３  回答情報入手部、１０４  差分情報抽出部、１１０  差分データベース群、１１１  確認リストＤＢ、１１２  ベースラインリストＤＢ、１１３  キーワードＤＢ、１１４  リスト間関係ＤＢ、１１５  項目間関係ＤＢ、２００  利用者属性情報、３００  確認項目情報、３０１  情報セキュリティ施策関連情報、３０２  既存基準との関係情報、３０３  実施状況判断基準情報、３０４  情報ＩＤ、４００  リスト間関係情報、５００  確認項目評価結果情報、５０１  確認項目評価結果、５０２  エビデンス情報、５０３  情報ＩＤ、６００  確認項目−結果関係情報、７００  分析情報、８００  ガイド項目情報、１０００  上位情報セキュリティ管理装置、１１００  下位情報セキュリティ管理装置。
【図１】
2010165099.tif 000003
【図２】
2010165099.tif 000004
【図３】
2010165099.tif 000005
【図４】
2010165099.tif 000006
【図５】
2010165099.tif 000007
【図６】
2010165099.tif 000008
【図７】
2010165099.tif 000009
【図８】
2010165099.tif 000010
【図９】
2010165099.tif 000011
【図１０】
2010165099.tif 000012
【図１１】
2010165099.tif 000013
【図１２】
2010165099.tif 000014
【図１３】
2010165099.tif 000015
【図１４】
2010165099.tif 000016
【図１５】
2010165099.tif 000017
【図１６】
2010165099.tif 000018
【図１７】
2010165099.tif 000019
【図１８】
2010165099.tif 000020
【図１９】
2010165099.tif 000021
【図２０】
2010165099.tif 000022
【図２１】
2010165099.tif 000023
【図２２】
2010165099.tif 000024
【図２３】
2010165099.tif 000025
【図２４】
2010165099.tif 000026
【図２５】
2010165099.tif 000027
【図２６】
2010165099.tif 000028
【図２７】
2010165099.tif 000029
【図２８】
2010165099.tif 000030
【図２９】
2010165099.tif 000031